AWS Amplify 中 Token 过期问题的分析与解决方案

问题背景

在使用 AWS Amplify 进行身份验证时，开发者可能会遇到"Invalid login token. Token expired"的错误提示。这个问题通常发生在应用长时间运行后，特别是在后台挂起2-3小时后重新激活时。错误表明身份验证令牌已过期，导致应用无法正常获取会话信息。

问题分析

令牌生命周期配置

根据问题描述，开发者的 Cognito 用户池配置了以下令牌有效期：

• 访问令牌(access token)：5分钟
• ID令牌(id token)：5分钟
• 刷新令牌(refresh token)：1周

这种配置下，当应用处于后台状态时，短期的访问令牌和ID令牌会很快过期，而刷新令牌的有效期相对较长。

技术细节

在 AWS Amplify v6 中，fetchAuthSession 方法用于获取当前认证会话。当令牌过期时，系统会尝试使用刷新令牌获取新的访问令牌。如果这个过程失败，就会触发tokenRefresh_failure事件。

版本差异

这个问题在 AWS Amplify v6.6.4 版本中表现较为明显，但在 v6.8.0 版本中得到了修复。主要改进包括：

1. 更稳健的令牌刷新机制
2. 更合理的错误处理流程
3. 不再自动清除存储的令牌

解决方案

1. 升级 AWS Amplify 版本

最简单的解决方案是将项目升级到 v6.8.0 或更高版本。新版本改进了令牌管理逻辑，减少了意外注销的情况。

2. 优化令牌管理策略

开发者可以采取以下措施优化令牌管理：

实现令牌刷新监听器

Hub.listen('auth', ({ payload }) => {
  switch (payload.event) {
    case 'tokenRefresh':
      // 处理令牌刷新成功
      break;
    case 'tokenRefresh_failure':
      // 处理令牌刷新失败
      break;
  }
});

实现会话获取的单例模式 为了避免并发请求导致的多次令牌刷新，可以实现一个去重的会话获取单例：

function createDeduplicatedFetchAuthSessionSingleton() {
  let pendingRequest = null;

  return () => {
    if (!pendingRequest) {
      pendingRequest = new Promise((resolve, reject) => {
        fetchAuthSession()
          .then(resolve)
          .catch(reject)
          .finally(() => {
            pendingRequest = null;
          });
      });
    }
    return pendingRequest;
  };
}

3. 调整令牌有效期

虽然不推荐过度延长令牌有效期，但可以适当调整以平衡安全性和用户体验：

• 访问令牌：30分钟到1小时
• ID令牌：30分钟到1小时
• 刷新令牌：30天

4. 实现优雅的错误处理

当令牌刷新失败时，应该提供友好的用户提示，而不是直接注销：

case 'tokenRefresh_failure':
  showToast('会话已过期，请重新登录');
  // 延迟导航以避免UI卡顿
  setTimeout(() => {
    signOut();
    navigateToLogin();
  }, 1000);
  break;

最佳实践

1. 定期检查会话状态：在应用从后台恢复时主动检查会话状态
2. 实现会话续期：在令牌即将过期前主动续期
3. 提供无缝重新认证：当会话过期时，提供平滑的重新认证流程
4. 监控令牌刷新失败：记录令牌刷新失败的频率和原因，用于优化

总结

AWS Amplify 中的令牌过期问题主要源于令牌生命周期配置和版本特定的行为差异。通过升级到最新版本、优化令牌管理策略和实现稳健的错误处理，开发者可以显著改善用户体验。记住，安全性和用户体验需要平衡，过度延长令牌有效期会降低安全性，而过于频繁的重新认证则会影响用户体验。